国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
調べた事実を列挙してみる。 ・デフォルトの設定では、設定・操作・閲覧情報がユーザーID、デバイスIDと共にアスツール社のサーバーへ送信されている ・検索窓に入力した文字は、検索ボタンを押さなくても、その内容が逐一アスツール社のサーバーへ送信されている ・検索内容がアダルト関連ワードかどうかがアスツール社のサーバーに送信され判定されている ・サービス利用データの提供設定をオフにしても、閲覧情報がアスツール社のサーバーに送信されている ・プライベートモードにしても、閲覧情報がアスツール社のサーバーに送信されている ・https通信であろうとも閲覧したURLは完全な形でアスツール社のサーバーに送信されている 様々な設定を調べたが、どのようにしても外部への閲覧情報送信を止めることはできなかった。 あなたが何を調べ、何を買おうとしているのか、何で遊び、どこへ行こうとしているのか。それらはあなたの知ら
EpisoPass
EpisoPass概要 問題プール編集 EpisoPassページ作成 EpisoPassページ生成 EpisoPass概要 EpisoPass™ は、個人的な記憶をもとにパスワードを生成するシステムです。 自分だけが知っている記憶を利用して、複雑なパスワードを生成できます。 たとえば増井のEpisoPassページの問題に正しく答えると Amazonのパスワードが生成されます。 秘密ファイルを管理したり、パスワードを記憶したりする必要がありません。 EpisoPassページの作成 EpisoPassページ作成には問題プールを使います。 問題プールは、秘密の質問と回答候補を並べたものです。 例: 県名 / ローカル地名 / 海外 / 人名 Webに置いた問題プールデータをURL引数に指定できます。 例: 県名 / ローカル地名 / 海外 / 人名 問題プール編集タブを選択すると 問題プールを編
The OOM CTF
カーネルのバージョンやシステムの構成や実行するタイミングなどの変動要因により、結果が異なる場合がありますことを予めご了承ください。 0.3 自己紹介：熊猫の Linux との関わりについて ＯＳレベルでのセキュリティ強化 ２００３年４月から２０１２年３月までは、 TOMOYO Linux という Linux システム向けのアクセス制御モジュールの開発に携わってきました。バッファオーバーフロー脆弱性やＯＳコマンドインジェクション脆弱性を撲滅できない状況で、当初は SELinux という難解なアクセス制御モジュールしかありませんでした。 TOMOYO Linux のメインライン化にまつわる苦労話は、セキュリティ＆プログラミングキャンプ２０１１の講義資料を参照していただければと思います。 TOMOYO Linux から始まって AKARI や CaitSith に至るまでの変遷は、セキュリティ・
2017年3月に発生したApache Struts 2で稼働していたとみられるWebサイトへの不正アクセスについてまとめてみた - piyolog
2017年3月に複数のWebサイトが外部からの不正アクセスを受けたことを発表しています。また一部では不正アクセスが成功し、情報が盗まれたり、データが削除されるといった被害が発生しています。 攻撃を受けたWebサイトはApache Struts 2で稼働していたとみられ、またGMOペイメントゲートウェイはApache Struts2の脆弱性を悪用した不正アクセスであったことを明らかにしています。ここでは3月に発表されたApache Struts 2で稼働するWebサイトへの不正アクセスについてまとめます。 被害状況の概要 攻撃を受けたサイトやその被害概要をまとめると次の通り。 運営元 攻撃を受けたサイト 被害状況 トヨタファイナンス GMOペイメントゲートウェイ 都税クレジットカードお支払いサイト(旧) ⇒新しいドメインへ移転 機構団体信用生命保険特約料クレジットカード支払いサイト サイトに
Unicode制御文字によるファイル名の偽装 | コンピュータ忘備録
Unicodeには書字方向の制御を行う文字コードがある。これを使いファイル名を偽装することができる。なぜ偽装するのかといえば、それはトロイの木馬のような実行プログラムをユーザーに実行させるためだ。 偽装とはどういうことか。本当は .exe という拡張子であるのに、表示上はあたかも .txt のように見せかけるということだ。 .exeと表示されていれば、ユーザーは安易に実行しないが、 .txt と表示されていれば、テキストエディタが起動すると思い、ダブルクリックするといった効果が期待される。 仕組み 例えば、「aaa_txt.exe」という名のファイルがあるとする。このファイル名の _ と t の間にUnicodeの表示制御文字U+202Eを挿入する。U+202EはRight To Left Overrideという文字名であり、以降の書字方向を右から左に変える機能がある。略称はRLOで
印刷物セキュリティ技術（電子透かし）
ご利用にあたっての注意この講座の内容は、2007年当時の情報 です。予告なしに更新、あるいは掲載を終了することがあります。あらかじめご了承ください。 印刷物セキュリティが必要なのはなぜだろう漏洩件数ナンバーワンはどれだろう情報漏洩のルートとしては、紙などの印刷物、WEBなどのインターネット、パソコン本体、USBメモリやCD-Rなどの記録媒体、電子メール、などがあります。 ニュースで大きく取り上げられる漏洩事件の多くは電子機器・媒体によるものです。しかしこのように電子化が進められつつある現在でも、紙媒体による情報漏洩件数が1位であり、全体の半数近くを占めています。 ご参考) 2位はWEBやNET、3位はパソコン本体、4位は記録媒体、5位はEメールです。 全てにセキュリティをかけよう情報が洩れないようにするためには、ネットワークや電子機器、媒体には「暗号化」、「パスワード」、「生体認証」などに
Windowsのログインパスワードをクラックする羽目になった話
先日クライアントから問い合わせがあり、私の収めたWIn7のパソコンでログインが出来なくて困っていると問い合わせがあった。 話をよく聞いて見ると、パスワードの有効期間をデフォルトの42日のままで出荷していたのだが、 クライアントが納品時に初回ログインして、ウイルスソフトのインストールなど必要設定をしたのち２ヶ月あまり放置しており、 久しぶりに起動したらログインできなくなった、という事情らしい。 パスワードの有効期間が切れた場合、通常ならログイン時に有効期間が切れている旨の通知がされ、新しいパスワードを設定するとログインできるので、クライアントの言う「ログインできない」状態というのが不可解であった。 クライアント曰く「４２日を過ぎたから古いパスワードが使用できなくなってしまったんじゃないか」と私側の責任に感じているらしく、ちょっとまずい空気感だなーと重いパスワードを解析させてもらうことになった
まったく痕跡を残さず匿名でコンピューターを使える『Tails』 | ライフハッカー・ジャパン
もし、ジェームズ・ボンドがコンピューターにログオンしたとしたら、ファイル、Cookie、IPアドレスなど、コンピューターを使った痕跡は何一つ残さないはずです。極端に聞こえるかもしれませんが、これくらい慎重になったほうがいい場合もあるでしょう。 この記事では、DVDやUSBを使って、一切の痕跡を残さずコンピューターを使う方法をご紹介します。 「痕跡を残さない」とは文字通りまったく何も残さないという意味です。LinuxベースのLive OS『Tails』を使えば、どんなコンピューターも痕跡を残さず利用できます。Tailsは強固なセキュリティ機能を備えたポータブルOSで、DVDやUSBにインストールが可能。インストール手順は後ほどご説明しますが、まずはTailsの概要をざっと見ていきましょう。 Tailsの概要 Tailsを使うのはとても簡単です。起動ディスクを作成するだけで、完全に匿名かつ一切
破れるまでiPhoneのパスコードを調べ続ける怖い箱
その執念にゾクッとする。 私のiPhoneのセキュリティーはバッチリ。だってちゃんと4桁のパスコードかけてるし、もちろん自分の誕生日なんてわかりやすい数字にはしてないから、パスコードを突破されるなんてことまずないはず！ …と思っていた数分前のおバカな私。なんてことないチープな箱にiPhoneのセキュリティーが陥落されてしまうなんて…。 イギリスの情報セキュリティーコンサル会社MDSecも警戒しているのが、IP-Boxとよばれるもの。これの怖いところがたった120ポンド（約21,600円）で購入できてしまうというところです。どうやってパスコード解読をするのかというと、盗んだiPhoneにしらみつぶしにひたすら数字を入力するだけ。 ただし手入力ではなく、ボックス本体とiPhoneを繋ぐUSB端子を介して入力されていきます。間違った数字を入力したら、ボックスがiPhoneの電源を強制的に切ってし
TechCrunch | Startup and Technology News
While VCs, founders and major tech companies compete to see who can say “AI” the most in a week, people are busy building other, more useful stuff. Three months after arresting its administrator, U.S. federal authorities have seized the domain of notorious hacking site BreachForums. For a time, the forum was the go-to community for English speaki
GHOST脆弱性を用いてPHPをクラッシュできることを確認した
GHOST脆弱性について、コード実行の影響を受けるソフトウェアとしてEximが知られていますが、PHPにもgethostbynameという関数があり、libcのgethostbyname関数をパラメータ未チェックのまま呼んでいます。そこで、PHPのgethostbynameを用いることでPHPをクラッシュできる場合があるのではないかと考えました。 試行錯誤的に調べた結果、以下のスクリプトでPHPをクラッシュできることを確認しています。CentOS6(32bit/64bitとも)、Ubuntu12.04LTS(32bit/64bitとも)のパッケージとして導入したPHPにて確認しましたが、phpallで確認した限りPHP 4.0.2以降のすべてのバージョンのPHPで再現するようです。なぜかPHP 4.0.0と4.0.1では再現しませんでした。 <?php gethostbyname(str_
OWASP ZAPでWEBサイトの脆弱性を簡易チェックする方法まとめ | Lancork
※当ブログではアフィリエイト広告を利用しています。 ひょんなことからWEBサイトの脆弱性をチェックする機会がありました。 オープンソースの脆弱性チェックツール「OWASP ZAP」でWEBサイトの脆弱性を簡単にチェックしてみたため、その方法をまとめてみます。 1.OWASP ZAPとは？ OWASP(Open Web Application Security Project)が提供している、WEBサイトの脆弱性を診断するためのぺネトレーションテストツールです。オープンソースで、無料で使用できます。 診断可能な脆弱性の代表的な例 クロスサイトスクリプティング(反射型) SQLインジェクション CRLF インジェクション パラメータタンパリング パストラバーサル 2.OWASP ZAPのインストール(Windows) 2-1.下記ページ中央の「Download ZAP」より、ダウンロードページ
「充電器」でｉＰｈｏｎｅをハッキング 米大学チームが実演へ
（ＣＮＮ） 米アップルのスマートフォン（多機能携帯電話）「ｉＰｈｏｎｅ（アイフォーン）」やタブレット端末「ｉＰａｄ（アイパッド）」に対して特殊な充電器を利用することで１分以内にハッキングできる手口があることが４日までに分かった。米ジョージア工科大学の研究チームが近く、コンピューターセキュリティーに関する国際会議で発表する。 アップルのパソコンはこれまで、よりシェアの高いウィンドウズ・パソコンに比べてハッカーらに狙われにくいとされてきた。携帯端末用基本ソフト「ｉＯＳ」のアプリやアクセサリーは、事前に審査する方式を取ることでリスクを抑えている。 ところが同大学のビリー・ラウ氏らが製作した「Ｍａｃｔａｎｓ」という名の充電器を使うと、最新版ｉＯＳの防御システムを突破し、現行機種に任意のソフトを簡単に送り込むことができるという。 Ｍａｃｔａｎｓがアップル製充電器の改造版か、チームが新たに作り出したも
サービス終了のお知らせ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
GPS2点間距離を使用した住所特定の脆弱性 - 素人がプログラミングを勉強していたブログ
先日、非常に珍しい、GPSつかったチャットの脆弱性を発見したので、ここに注意もかねて書いておく。 簡単に言うと、WebSocketに生で自分でGPS座標を送り、相手との距離差を何度でも取得できる脆弱性で、離れてる、近いくらいしか分からないことを前提にGPS使用を許可してる時に〜町にいる、とわかってしまうという、聞いたことない感じの珍しい脆弱性である。websocketでイベント駆動にしてるとついうっかりステート管理があやふやになりがちである。 さて、下記は脆弱性の存在したchatpad.jpのサポートに送ったメールである。 Subject: GPSを使用した機能に関する脆弱性について 初めまして。いつも楽しくChatPad使わせて頂いております。 件名の通り、GPSに関する脆弱性を発見しました。これは相手の住所が相手の意図に反し 高精度（最大で市町村程度まで）特定できてしまうというもので、
ブラウザにファイルをドロップしてはいけない - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、CROSS 2013っていう、エンジニア向けのビール飲み放題のイベントに行ってきました！ そこの「HTML5×セキュリティ」っていうコーナーで、ちょっと喋ってきたんですが、 その時の小ネタを紹介しておきます。 最近、ブログとかのWebサービスで写真をアップロードする時に、 ファイルをドラッグ＆ドロップするだけでできたりしますよね。 いちいちダイアログから選ばなくていいから便利です。 こんなやつ。 この手の仕掛けって、ドラッグ時にボーダーカラーを変えたりして 「いまドラッグ＆ドロップ状態ですよ〜」ってわかりやすく表示されますが、 それって別に、ブラウザが警告の意味で出してるんじゃなくて、 あくまで、Webサービス側が親切で表示してるだけなんですよね。 ってことは ・ドラッグされても特にボーダーラインなどを表示せず ・画面上のどこでもドロップを受け入れるようにし
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Iptablesチュートリアル 1.2.2
BLEな（）おもちゃを調べてみる - Speaker Deck
TechCrunch | Startup and Technology News
個人情報をぶっこ抜かれる無料アプリの氾濫はどこまで許されるべきでしょうか（追記あり）(山本一郎) - 個人 - Yahoo!ニュース